Эксперты Bitdefender предупредили, что взломанные копии Microsoft Office и Adobe Photoshop похищают файлы cookie и данные криптовалютных кошельков Monero у пользователей, которые устанавливают пиратское ПО.
Специалисты пишут, что некоторые пиратские версии обеих программ «укомплектованы» вредоносным ПО, которое крадет cookie браузерных сессий (в случае Firefox, вообще всю историю профиля пользователя), захватывает кошельки криптовалюты Monero и извлекает другие данные через BitTorrent, предварительно открыв бэкдор на целевой машине и отключив брандмауэр.
Так, после запуска взломанная программа устанавливает экземпляр ncat.exe (легитимный инструмент для отправки необработанных данных по сети) и использует batch-файл chknap.bat, а также Tor-прокси.
«Эти инструменты работают вместе, чтобы создать мощный бэкдор, который обменивается данными с управляющим сервером через Tor: бинарник ncat прослушивает порт Tor-прокси (--proxy 127.0.0.1:9075) и использует параметр --exec , который позволяет отправлять весь ввод от клиента в приложение, а ответы — обратно клиенту через сокет (обычное поведение реверс-шелла)», — говорят исследователи.
Операторам малвари, стоящим за этой атакой, требуется довольно много времени, чтобы проанализировать скомпрометированную ими среду и решить, что стоит украсть. Аналитики полагают, что кража всего профиля Firefox была скорее случайной, чем намеренной, и злоумышленниками подойдет любой другой браузер, установленный на устройстве.
